Den eigenen Payment Stack besitzen, nicht mieten

Der Kartentresor steckt nicht in deinem Shop

Auf diesem einen Gedanken ruht die ganze Serie. Speichert eine Kundin bei dir eine Karte, dann liegt die Kartennummer nicht in deinem Shop. Dein Shop hält einen Token, einen bedeutungslosen Platzhalter, und die echte Kartennummer ruht in einem gesicherten Speicher bei deinem Zahlungsdienstleister. Für diesen Speicher hat die Kartenindustrie einen eigenen Begriff. In der Leitlinie des PCI Security Standards Council ersetzt ein Token die Kartennummer durch einen Ersatzwert, der Token darf anstelle der echten Nummer abgelegt werden, und die echten Nummern liegen in einem Card Data Vault, einem Kartentresor.¹

Lies den Absatz zweimal, denn fast jede schmerzhafte Zahlungsmigration, die mir untergekommen ist, entspringt dem Missverständnis darüber. Die Geldmaschine, der Tresor, die gespeicherten Karten, die Abo Pläne liegen alle beim Dienstleister. Dein Shop hält nur Verweise darauf. Ob du jemals in der Falle sitzt, hängt deshalb nicht davon ab, welche Shop Software du fährst. Es hängt davon ab, wem das Dienstleisterkonto gehört, zu dem der Tresor gehört.

Gehört dir das Konto, erreichst du den Tresor über ein Konto, das du steuerst, und du darfst jede Storefront, jedes Framework und jede Plattform darauf ausrichten. Gehört das Konto einer Plattform, die dir Zahlungen als gebündeltes Feature vermietet, ist der Tresor nur über diese Plattform erreichbar. An dem Tag, an dem du gehst, zeigen die Verweise in deinem Shop auf eine Tür, für die du keinen Schlüssel mehr hast. Dieser Artikel ist die Landkarte, um in der ersten Welt zu bleiben. Er ist das positive Gegenstück zu meiner Migrationsserie, die einen bereits festsitzenden Shop rettet. Hier geht es darum, Rettung gar nicht erst zu brauchen.

Der Kontoinhaber entscheidet über die Portabilität

Beginne bei dem, was ein Dienstleister dich wirklich tun lässt, denn das ist die Probe. Stripe, als Dienstleister, der seinen Ablauf ausführlich dokumentiert, lässt dich deine Kundinnen und ihre gespeicherten Karten von einem früheren Dienstleister zu Stripe übernehmen. Der alte Dienstleister schickt die verschlüsselten Kartendaten direkt an Stripe, und du belastest bestehende Kundinnen so lange über das alte Konto, bis das neue steht.² Entscheidend fürs Eigentum ist der umgekehrte Weg. Stripe hält ausdrücklich fest, dass du deine Daten später zu jedem PCI konformen Dienstleister exportieren kannst, sofern der aufnehmende Dienstleister eine gültige PCI Bestätigung und einen öffentlichen Verschlüsselungsschlüssel liefert.²

Dieser Satz ist genau das, was Eigentum einbringt. Weil der Tresor beim Dienstleister liegt und das Konto dir gehört, wandern die Karten von Dienstleister zu Dienstleister, direkt und verschlüsselt, ohne dass du je eine Kartennummer berührst und ohne dass deine Kundinnen etwas neu tippen. Nur eines wandert per Regel nie mit: der Kartenprüfcode, den nach der Autorisierung einer Zahlung laut PCI DSS niemand speichern darf und den du zum Belasten einer gespeicherten Karte sowieso nicht brauchst.² Alles andere, was eine wiederkehrende Kundin ausmacht, kann reisen.

Stell dem die Alternative gegenüber. Gehört dir das Konto nicht, steht dir nichts davon zur Verfügung, denn der Export ist eine Übertragung von Dienstleister zu Dienstleister, und du hältst keine der beiden Dienstleisterbeziehungen. Die Portabilität ist echt, doch sie gehört dem, dem das Konto gehört.

Dieselbe Maschine, nur ohne die Schlüssel

Am schärfsten zeigt sich das an einem Produkt, das die meisten Shop Betreiber als die bequeme Voreinstellung sehen: die gebündelten Zahlungen einer Plattform. Nimm Shopify Payments als Musterfall und bleib genau, denn im Detail liegt der Kern. Die eigene Dienstleisterliste von Shopify benennt die Dienstleister hinter Shopify Payments, und in Markt um Markt sind es Stripe Gesellschaften, während der globale Eintrag ein mit Stripe verbundenes Unternehmen nennt, das sich nach deinem Standort richtet.³ Darunter läuft eine Shopify Payments Händlerin also auf derselben Verarbeitungsmaschine wie eine unabhängige Stripe Händlerin.

Der Unterschied ist nicht die Maschine, sondern die Schlüssel. Bei Shopify Payments richtet die Plattform die Dienstleisterbeziehung ein, zu Bedingungen, die die Plattform setzt, und Shopify erklärt ausdrücklich, selbst nicht Vertragspartei dieser Dienstleisterbedingungen zu sein und dir daraus nicht zu haften.⁴ Du bekommst die Maschine, hältst aber nicht das Konto, auf das der Tresor hört. Es gibt keinen Export von Dienstleister zu Dienstleister, den du auslösen könntest, denn du bist nicht in dem Sinn direkte Kundin des Dienstleisters, zu der dich ein eigenes Konto macht. Verlässt du die Plattform, kommen die gespeicherten Karten nicht als saubere verschlüsselte Übertragung mit. Das ist genau die Falle, die ich in die versteckten Gefahren beim Wechseln von Payment Gateways schildere, und sie macht einen Großteil dessen aus, was den Weg weg von Shopify schwerer macht als den Umzug von Katalog und Theme. Dieselbe Maschine, nur ohne die Schlüssel, ist an dem Tag, an dem du gehen willst, weniger wert, als sie wirkt.

Ich möchte fair bleiben, denn das ist ein Argument über Architektur und keine Klage über ein Unternehmen. Ein gebündeltes Zahlungsprodukt ist wirklich bequem. Es ist schnell aktiviert, die Abstimmung ist aufgeräumt, und für einen Shop, der die Plattform nie wechselt, kann es die richtige Wahl sein. Ich benenne nur den Preis, der später und still fällig wird: du mietest die Dienstleisterbeziehung, und gemietete Beziehungen enden zu den Bedingungen des Vermieters.

Vier Dinge wandern mit, wenn dir das Konto gehört

Gehört dir das Konto, werden vier verschiedene Dinge portabel, und jedes bekommt in dieser Serie seine eigene Speiche, weil jedes seine eigene Mechanik hat, die sich zu verstehen lohnt.

Das erste sind die gespeicherten Karten selbst, die Token und der Tresor dahinter. Wie ein Token für eine Karte einsteht, warum er für eine Diebin wertlos ist und warum gerade das die Karten überhaupt wandern lässt, behandelt wie Karten Tokenisierung funktioniert.

Das zweite ist der Umzug selbst. Die verschlüsselte Übertragung von Dienstleister zu Dienstleister, die Zuordnungsdatei, die jede gespeicherte Karte neu mit ihrem Verweis verbindet, und die Rampe, die eine Wand aus Ablehnungen verhindert, sind das Thema von Zahlungsdaten, die mit umziehen.

Das dritte ist das schwierigste und das, woran gebündelte Produkte am stärksten festhalten: die wiederkehrenden Vereinbarungen. Ein Abo ist mehr als eine gespeicherte Karte, es ist ein Plan und ein Mandat, und ob es dir gehört, trennt ein Geschäft, das du mitnehmen kannst, von einem, das du neu aufbauen musst. Darum geht es in Abonnements, die wirklich dir gehören.

Das vierte ist Reichweite. Ein einziges eigenes Dienstleisterkonto trägt mehrere Storefronts zugleich, sodass eine zweite Marke oder ein Plattformwechsel keine zweite Dienstleisterbeziehung, keine zweite Reserve und keine zweite Prüfrunde verlangt. Das ist ein Zahlungskonto für mehrere Shops.

Zusammen gelesen beschreiben sie einen Payment Stack, den du frei umbauen kannst, weil das eine unersetzliche Gut, der Tresor voller Kundenbeziehungen, an einem Konto hängt, das deinen Namen trägt.

Die ehrlichen Kompromisse, denn Eigentum gibt es nicht umsonst

Das Konto zu besitzen lohnt sich, und ich wäre ein schlechter Berater, täte ich so, als wäre es mühelos oder kostenlos. Hier ist die ehrliche Bilanz.

Dienstleistergebühren sind ein echter, laufender Kostenpunkt, und sie liegen offen. Die veröffentlichte Preisliste von Stripe für Deutschland lautet im aktuellen Stand 1,5 % plus 0,25 € für Standardkarten aus dem Europäischen Wirtschaftsraum und 3,15 % plus 0,25 € für ausländische Karten, je erfolgreicher Transaktion.⁵ Ein gebündeltes Plattformprodukt nimmt seinen eigenen Satz, auf dem Papier mal niedriger, mal höher, und der Punkt ist nicht, dass eines immer gewinnt. Der Punkt ist, dass du mit einem eigenen Konto den Satz siehst, ihn mit wachsendem Volumen verhandelst und den Dienstleister wechselst, sobald ein besserer erscheint, weil das Konto dir gehört und du es bewegen darfst.

Die starke Kundenauthentifizierung ist der zweite Posten. Unter PSD2 brauchen von der Kundin ausgelöste Online Kartenzahlungen an europäische Karteninhaber in aller Regel eine Zwei Faktor Authentifizierung, praktisch 3D Secure, und Banken dürfen Zahlungen ablehnen, die dem nicht folgen.⁶ Das gilt für dich, gleich wer das Konto hält, gebündelt oder eigen, taugt also nicht als Grund fürs Mieten. Es ist ein Grund, die Kasse sauber zu bauen. Die nützliche Feinheit: eine korrekt gespeicherte Karte, die belastet wird, während die Kundin nicht dabei ist, also eine vom Händler ausgelöste Transaktion, kann für eine Ausnahme infrage kommen, auch wenn Stripe betont, dass Ausnahmen nie garantiert sind und die Bank dennoch nachfragen kann.⁶

Drittens heißt das Konto zu besitzen, dass du die Händlerbeziehung trägst, samt der Teile, die niemand gern hat. Rückbuchungen landen auf deinem Konto, und der Dienstleister bucht den strittigen Betrag und eine Gebühr direkt von deinem Guthaben ab, während du Belege zusammenstellst.⁷ Auch einen Teil der PCI Pflichten trägst du. Die gute Nachricht, und sie ist wirklich gut: baust du die Kasse so, dass rohe Kartennummern direkt von der Kundin zum Dienstleister laufen und deine Server nie berühren, sitzt du auf der leichtesten Selbstauskunft, SAQ A, einem bescheidenen jährlichen Formular statt einer Prüfung. Wie das genau läuft, zeige ich in PCI DSS erklärt. Das Konto zu besitzen zieht dich nicht in ein schweres Prüfregime. Eine nachlässig gebaute Kasse tut das.

Viertens ist ein einzelner Dienstleister ein einzelner Punkt, um den du planen musst. Wird dein eines Konto gesperrt, zur Prüfung zurückgehalten oder fällt es schlicht aus, stoppen deine Einnahmen. Die Antwort ist nicht, aufs Eigentum zu verzichten, sondern dafür zu bauen: ein zweiter Dienstleister eingerichtet und ruhend, ein sanfter Rückfall an der Kasse und das Wissen, dass du, weil deine Karten portabel sind, nie Geisel der schlechten Woche eines Anbieters wirst. Ein Shop, dem sein Konto gehört, kann einen Ausweichdienstleister ergänzen. Ein Shop, der gebündelte Zahlungen mietet, kann das nicht.

Klar gesagt: du nimmst Gebühren, Authentifizierungsarbeit, Rückbuchungen, eine leichte Compliance Pflicht und die Verantwortung fürs Planen des Ausfalls auf dich. Dafür behältst du das eine, was wirklich schwer zu ersetzen ist. Ich halte diesen Handel für fast jedes Geschäft für richtig, das in fünf Jahren noch handeln und sich wandeln will. Ich sage das, weil es meine ehrliche Sicht ist, nicht weil ich einen Dienstleister verkaufe. Ich baue den individuellen Shop und verdrahte ihn mit einem Konto, das der Kundin gehört. Ich nehme keine Dienstleisterprovision und behaupte nicht, ein Dienstleister sei schlicht der beste.

Warum das auf Eigentum und Wachstum einzahlt

Es hat einen Grund, dass dies unter demselben Dach sitzt wie das Eigentum an deinen Daten. Du kannst ein Geschäft nicht auf Evidenz bauen, wenn die Evidenz und die Kundinnen dahinter nicht dir gehören, um darauf zu handeln. Eine gespeicherte Karte ist mehr als Bequemlichkeit. Sie ist eine stehende Beziehung, die Erlaubnis zur erneuten Belastung, ein Signal von Treue, der Rohstoff einer Rückgewinnungskampagne und einer Berechnung des Kundenwerts. Liegen diese Beziehungen in einem Konto, das jemand anderes steuert, ist dein Wachstum geliehen. Liegen sie in einem Konto, das dir gehört, ist jede einzelne ein Gut, das du messen, behalten und ausbauen kannst. Das ist dasselbe Argument, das ich über deine Daten und deine Analytik in wem gehören eigentlich deine Geschäftsdaten führe, angewandt auf die wertvollsten Datensätze eines Shops: die, mit denen er Geld nehmen kann.

Darum ist die Zahlungswahl für mich eine grundlegende Entscheidung und kein Installationsdetail, im selben Atemzug wie die Plattformentscheidung, die ich in deinen Onlineshop migrieren ausbreite. Die Storefront ist ersetzbar. Die Kundin, die dir genug vertraut, um eine Karte zu hinterlegen, ist es nicht.

Ein Rechenbeispiel: eine Marke aus Leipzig, die das Konto dem Paket vorzieht

Lass es mich an einem erfundenen Geschäft greifbar machen, denn am Konkreten hält das Argument oder zerbricht. Ufergut verkauft Heimtextilien und Outdoor Ausrüstung an ufergut.example, geführt aus einem Laden in Leipzig von einer Gründerin namens Mara. Sie startet zum ersten Mal richtig, rechnet mit einigen tausend Bestellungen im Monat und, wichtig, mit einer Abo Box, die aus ihrer Sicht zum Kern des Geschäfts werden soll. Jede Zahl unten ist erfunden, um die Mechanik zu zeigen.

Mara hat zwei Wege. Weg eins ist eine gehostete Plattform mit eingeschalteten gebündelten Zahlungen: an einem Nachmittag live, nichts weiter zu bedenken. Weg zwei ist der, den ich baue: ein individueller Shop auf Solidus, dem quelloffenen Rails Ecommerce Framework, verdrahtet mit einem Dienstleisterkonto, das Mara auf den Namen ihrer eigenen Firma eröffnet. Weg zwei kostet im Aufbau etwas mehr und verlangt ein kurzes jährliches SAQ A Formular. Sie wählt Weg zwei, und das bringt ihr über die nächsten zwei Jahre Folgendes.

Im ersten Jahr ist sie um die gewöhnlichen Dinge froh. Die Gebühr ist eine Zeile, die sie liest und, sobald ihr Volumen steigt, neu verhandelt. Ficht eine Kundin eine Belastung an, ist es ihr Konto und ihr Beleg, und sie klärt es in ihrem eigenen Dashboard.⁷ Sie richtet einen zweiten Dienstleister ruhend ein, damit die Kasse ausweicht statt stehenzubleiben, wenn ihr Hauptdienstleister einen schlechten Tag hat. Nichts davon stünde ihr im Paket offen.

Dann kommen die nützlichen Momente. Nach achtzehn Monaten wächst Mara aus ihrer ersten Storefront heraus und will einen schnelleren, individuelleren Bau. Weil ihr Kartentresor bei ihrem Dienstleister liegt und das Konto ihr gehört, rührt der Plattformwechsel keine Zahlungsdaten an: die neue Storefront zeigt auf dasselbe Konto, die gespeicherten Karten und die Abo Pläne laufen weiter, und keine Kundin tippt eine Karte neu. Im Paket hätte derselbe Schritt einen Export von Dienstleister zu Dienstleister bedeutet, den sie nicht auslösen kann, und eine Wand aus Kundinnen, die erneut zahlen sollen, genau den Verlust, den ich in die versteckten Gefahren beim Wechseln von Payment Gateways durchrechne.

Kurz darauf startet sie eine zweite Marke, ein Geschenklabel, auf eigener Domain. Ein eigenes Konto trägt beide Shops, es gibt also keine zweite Prüfung, keine zweite Reserve, und ihre Auswertung rollt über beide zusammen. Noch später bietet ihr ein neuer Dienstleister einen deutlich besseren Satz für ihren Kartenmix. Weil ihre Karten von Grund auf portabel sind, lässt sie den verschlüsselten Export laufen und wechselt, verknüpft über die Zuordnungsdatei jede gespeicherte Karte neu und fährt das Volumen hoch, damit das neue Konto den Banken am ersten Tag nicht wie ein Fremder erscheint.²

Die Kompromisse waren durchweg echt. Mara zahlte Monat für Monat Dienstleistergebühren. Sie baute ihre Kasse für 3D Secure, damit europäische Kundinnen sauber authentifizieren.⁶ Sie klärte ihre eigenen Rückbuchungen und hielt ihr SAQ A aktuell. Im Gegenzug wechselte sie einmal die Plattform, startete einen zweiten Shop und wechselte einmal den Dienstleister, und über alle drei liefen ihre Kundinnen und ihre gespeicherten Karten einfach weiter. Das Paket hätte ihren ersten Nachmittag leichter gemacht und jeden Schritt danach schwerer.

Welche Fragen ich stelle, bevor ich einen einzigen Schlüssel verdrahte

Das meiste entscheidet sich am Anfang, im Namen, auf den das Konto läuft, und darin, wie die Kasse gebaut ist, lange bevor jemand das Wort Migration sagt. Darum stelle ich einem Dienstleister diese Fragen und will sie schriftlich beantwortet haben, bevor ich etwas verdrahte:

Läuft das Händlerkonto auf den Namen der eigenen Firma der Kundin, in direkter Beziehung der Kundin zum Dienstleister, und nicht in einem Unterarrangement, das eine Plattform steuert?
Veröffentlicht der Dienstleister einen Kartenexport zu jedem PCI konformen Anbieter, wie lange dauert er und fällt eine Gebühr an?
Hält die Kasse rohe Kartennummern von den eigenen Servern der Kundin fern, sodass das Geschäft auf SAQ A sitzt?
Unterstützt der Dienstleister 3D Secure sauber und trägt er den Nachweis früherer Authentifizierung, damit gespeicherte Karten nach einem Wechsel nicht erneut abgefragt werden?
Kann ein Konto hinter mehr als einer Storefront stehen, und lässt sich ein zweiter Dienstleister als Reserve einrichten?

Ein Dienstleister, den du verlassen kannst, auf einem Konto, das dir gehört, ist mehr wert als ein etwas niedrigerer Schauwert auf einem Konto, das du nicht verlassen kannst. Ein Anbieter, den du nicht verlassen kannst, kann den Satz später festlegen. Bau auf dem Konto, das dir gehört, halte den Tresor portabel, und die Storefront, das Framework und sogar der Dienstleister werden zu Dingen, die du ändern kannst, ohne je wieder eine Kundin nach ihrer Karte zu fragen.

Wenn du gerade wählst, wie dein Shop Geld nimmt, oder vermutest, dass deine Zahlungen leise an eine Plattform gebunden sind, die du eines Tages verlassen willst, bring es in den kostenlosen Workshop und wir kartieren deinen Payment Stack gemeinsam, mit deinem eigenen Namen auf dem Konto. Die ersten zwei Wochen Arbeit gehen auf meine Rechnung.